門檻簽章機制（TSS）

什麼是門檻簽章機制（TSS）？

門檻簽章機制（Threshold Signature Scheme，TSS）是一種密碼學簽章方法，可讓多位參與者共同建立一個有效的數位簽章，而無須由任何單一參與者持有完整私鑰。

在加密貨幣領域，TSS 主要用於保護錢包、金庫系統、託管流程、驗證者作業，以及其他必須安全簽署區塊鏈交易的系統。

基本概念很簡單：私有簽章金鑰會被分割為不同的金鑰分片，且只有達到所需門檻數量的分片才能產生有效簽章。

例如，3-of-5 的 TSS 設定表示有 5 位參與者各自持有金鑰分片，但任意 3 位經核准的參與者可共同簽署交易。

僅有 2 位參與者無法建立有效簽章，而遭竊的單一金鑰分片也不應足以轉移資金。

NIST 將門檻密碼學描述為一種模型：祕密金鑰分散於多方，使得只要遭破壞的參與方數量低於該機制定義的門檻，金鑰祕密性仍可受到保護。

這使 TSS 對加密貨幣相當有用，因為私鑰遭入侵是數位資產管理中最嚴重的風險之一。

TSS 不會將完整簽章權限放在單一裝置、伺服器、員工帳戶或助記詞上，而是將簽章權限分散於多個獨立分片。

完成的 TSS 簽章對區塊鏈網路而言，通常看起來就像一般數位簽章。

這代表區塊鏈不一定需要知道有多方參與產生該簽章。

此特性可提升隱私、降低鏈上複雜性，並讓組織建立彈性的核准規則，而不必在鏈上揭露每位內部簽署者。

TSS 如何在加密貨幣中運作

TSS 設定通常從金鑰生成開始。

在簡單模型中，受信任的分發者可建立金鑰並向參與者分發金鑰分片。

在更強大的設計中，參與者會使用分散式金鑰生成（Distributed Key Generation，DKG），使完整私鑰從不會在單一位置生成。

金鑰生成後，每位參與者僅持有一個金鑰分片。

群組還會有一個公開金鑰，供區塊鏈或驗證系統檢查簽章。

當加密貨幣交易需要簽署時，達到所需數量的參與者會進入簽章協議。

每位參與者使用其金鑰分片建立部分簽章，通常稱為簽章分片。

接著，協調者或聚合程序會將有效的簽章分片合併為一個最終簽章。

最終簽章可透過群組公開金鑰驗證，就像一般簽章一樣。

簽署期間不需要重建完整私鑰。

這是 TSS 最重要的安全優勢之一。

安全的 TSS 設計不僅會在私鑰儲存時保護它，也會在使用私鑰時保護它。

這在加密貨幣中尤其重要，因為簽署交易正是攻擊者想取得控制權的時刻。

門檻代表什麼

門檻是核准並產生有效簽章所需的最低參與者人數。

2-of-3 門檻表示 3 位金鑰分片持有者中任意 2 位可簽署。

3-of-5 門檻表示 5 位金鑰分片持有者中任意 3 位可簽署。

5-of-8 門檻表示 8 位金鑰分片持有者中任意 5 位可簽署。

第一個數字是所需的簽署門檻。

第二個數字是金鑰分片持有者總數。

較低門檻可提升可用性，因為完成簽署所需的參與者較少。

較高門檻可提升對串通或入侵的抵抗力，因為需要更多參與者合作。

最佳門檻取決於受保護資產的價值、受信任營運者的人數、裝置遺失風險、快速提領需求，以及組織的安全政策。

對個人加密貨幣錢包而言，2-of-3 模型可能在安全與復原之間取得平衡。

對機構加密貨幣作業而言，可能採用較大的門檻，以將權限分散於團隊、裝置、辦公室或安全環境。

應審慎選擇門檻，因為它同時影響安全性與存取能力。

若門檻過低，攻擊者可能只需入侵少量分片。

若門檻過高，當足夠數量的參與者無法使用時，合法使用者可能失去存取權。

TSS 與數位簽章

TSS 建立於數位簽章的概念之上。

數位簽章可證明訊息已獲私有簽章金鑰持有者授權。

在加密貨幣中，該訊息通常是交易或與交易相關的雜湊值。

區塊鏈會使用公開金鑰或與地址相關的驗證方法來驗證簽章。

現代數位簽章標準包括 ECDSA 與 EdDSA 等演算法，這些演算法均涵蓋於 NIST 的數位簽章標準中。

許多區塊鏈系統採用橢圓曲線簽章，因為它們可透過相對較小的金鑰與簽章提供強大的安全性。

TSS 不會取代數位簽章。

相反地，TSS 改變的是私有簽章權限在參與者之間的分配方式。

其輸出仍是有效的數位簽章。

差異在於，簽章由多方協作產生，而非由一把完整私鑰產生。

因此，TSS 常被形容為在維持一般區塊鏈簽章相容性的同時，去中心化私鑰控制的方式。

TSS 與多方計算（MPC）

TSS 與多方計算（Multi-Party Computation，MPC）密切相關。

MPC 是較廣泛的密碼學領域，多方可共同計算結果，而無須向彼此揭露各自的私有輸入。

在 TSS 錢包中，每位參與者的私有輸入就是其金鑰分片。

共同輸出則是有效的交易簽章。

沒有參與者需要向其他參與者揭露自己的金鑰分片。

NIST 的多方門檻密碼學專案說明，門檻機制會將安全多方計算原則應用於簽章等密碼學原語。

由於這種關係，TSS 錢包有時也被稱為 MPC 錢包。

不過，MPC 是較廣泛的方法，而 TSS 是特定的簽章使用情境。

並非每個 MPC 協議都是簽章系統。

也並非每個門檻系統都具備相同的安全模型、設定方式或支援的簽章演算法。

對加密貨幣使用者而言，實務上的意義是，TSS 可降低將完整私鑰儲存在單一位置的需求。

但這不會消除強化裝置安全、身分檢查、存取控制及復原規劃的必要性。

TSS 與多重簽章錢包的比較

TSS 與多重簽章錢包皆旨在降低單一金鑰風險。

不過，兩者的運作方式不同。

多重簽章錢包通常要求多個獨立簽章來授權交易。

視區塊鏈設計而定，這些簽章可能在鏈上可見，或由智能合約處理。

TSS 錢包通常透過多個金鑰分片產生一個最終簽章。

對區塊鏈而言，該最終簽章可能看起來像標準的單一簽章。

這項差異可能影響隱私、費用、地址相容性及營運設計。

使用 TSS 時，內部核准規則可在鏈下管理，而區塊鏈只會看見最終有效簽章。

使用多重簽章系統時，核准結構可能更容易被看見，或更依賴特定鏈的指令碼與合約功能。

對支援相同簽章類型的鏈而言，TSS 可能具備更高彈性。

當區塊鏈揭露簽署結構時，使用者可能更容易在鏈上檢查多重簽章錢包。

沒有任何一種模型會在所有情況下自動更好。

較強的選擇取決於區塊鏈、威脅模型、託管設計、復原程序，以及使用者對透明度的需求。

常見的 TSS 簽章類型

門檻簽署可針對不同簽章演算法設計。

門檻 ECDSA 很重要，因為 ECDSA 廣泛用於許多加密貨幣系統。

門檻 Schnorr 簽章很重要，因為 Schnorr 類型設計可能比傳統 ECDSA 更有效率，且更容易適配門檻協議。

門檻 EdDSA 對使用 Edwards 曲線簽章的系統很重要。

目前的一項主要標準是 FROST，代表 Flexible Round-Optimized Schnorr Threshold。

IETF 的RFC 9591規格將 FROST 描述為雙輪的 Schnorr 門檻簽署協議。

FROST 的設計目標是在門檻簽署期間降低網路負擔，同時防範影響早期 Schnorr 門檻建構的特定偽造攻擊。

同一份 RFC 亦包括 FROST over Ed25519、ristretto255 與 Ed448 等密碼套件。

這不代表每個區塊鏈錢包都會自動使用 FROST。

它代表門檻簽章領域正逐漸標準化，有助於開發者、稽核人員及基礎設施團隊更清楚比較不同設計。

為什麼 TSS 對加密貨幣安全很重要

加密資產由私鑰控制。

若私鑰遭竊、複製、洩漏或濫用，攻擊者可能可以簽署交易並轉移資產。

TSS 透過確保沒有單一參與者持有完整簽章金鑰來降低此風險。

攻擊者可能需要入侵多位獨立金鑰分片持有者，才能建立有效簽章。

這可增加攻擊難度，尤其是在分片儲存於不同裝置、網路、地點或安全模組時。

TSS 也有助於降低內部人員風險。

若門檻設計妥當，單一員工、承包商、伺服器管理員或裝置操作員不應能單獨核准高價值交易。

TSS 也可提升營運韌性。

若有一位金鑰分片持有者離線，設計妥善的 3-of-5 設定仍可能透過 3 位可用參與者完成簽署。

這對加密貨幣企業與活躍交易者很重要，因為提領、再平衡、金庫及結算作業可能同時需要安全性與速度。

TSS 並非能抵禦所有攻擊的萬靈盾牌。

它必須結合強式驗證、交易篩檢、安全裝置、稽核紀錄、人為審查及事件應變。

TSS 如何防範單點故障

單點故障是指任何一個故障就可能使整個系統失效的元件。

在傳統私鑰儲存中，完整私鑰可能成為單點故障。

若該金鑰遺失，資金可能無法存取。

若該金鑰遭竊，資金可能被盜。

若控制該金鑰的人惡意行事，系統可能沒有內建的密碼學核准屏障。

TSS 透過將控制權分散於多個金鑰分片來改變這種情況。

理論上，沒有單一分片足以簽署交易。

這可降低單一遺失手機、受入侵筆電、遭駭伺服器或惡意內部人員所造成的損害。

系統也可設計為由不同部門或安全角色持有分片。

例如，一個分片可由營運裝置持有，另一個由合規核准流程持有，第三個則由安全備份環境持有。

實際結構取決於組織；針對高價值資產，應由專業安全審查進行設計。

使用 TSS 進行交易核准

TSS 可支援比單純單一錢包簽章更進階的核准流程。

政策引擎可針對不同交易規模要求不同門檻。

小額轉帳可能需要 2 項核准。

大型金庫轉移可能需要 4 項核准。

提領至新地址可能需要額外審查。

正常營業時間外的交易可能觸發更嚴格的門檻。

這些規則並非由 TSS 本身自動建立。

它們通常是圍繞 TSS 協議建立的錢包、託管平台、治理系統或內部安全架構的一部分。

TSS 的密碼學角色，是確保除非所需簽章分片參與，否則無法產生最終簽章。

周邊系統的營運角色，則是決定誰可參與及可在何種條件下參與。

強大的加密貨幣安全需要這兩部分。

即使數學上強大的 TSS 協議，仍可能因存取控制不佳或交易審查薄弱而被削弱。

TSS 在加密貨幣中的優勢

TSS 的第一項主要優勢是私鑰保護。

在一般簽署期間，完整私鑰不需要存在於單一裝置上。

第二項優勢是彈性授權。

團隊可選擇符合其風險與營運需求的門檻結構。

第三項優勢是區塊鏈相容性。

在許多情況下，最終 TSS 輸出可像一般簽章一樣被驗證，這可能降低對特殊鏈上指令碼的需求。

第四項優勢是隱私。

由於區塊鏈可能只看見一個最終簽章，因此可能不會揭露完整的內部核准結構。

第五項優勢是韌性。

設計良好的門檻即使在一位參與者無法使用時，仍可持續運作。

第六項優勢是政策控制。

TSS 可結合交易限額、地址允許名單、時間延遲及緊急凍結等規則。

這些優勢說明 TSS 為何已成為加密貨幣基礎設施的重要技術，尤其適用於管理大額餘額或頻繁簽署活動的系統。

TSS 的限制與風險

TSS 會增加複雜性。

簡單錢包可能只需保護一把私鑰，而 TSS 錢包必須管理分片、參與者、通訊、備份與復原。

TSS 也依賴可用性。

若沒有足夠參與者可加入簽署程序，就無法產生有效簽章。

這可能在服務中斷、出差、裝置遺失或緊急市場狀況下造成營運問題。

TSS 實作也必須謹慎處理 nonce 生成。

過去不當的 nonce 處理對數位簽章系統十分危險，因為可能洩漏私鑰資訊。

門檻系統增加了更多環節，因此實作品質很重要。

參與者也必須保護自己的裝置與憑證。

TSS 設計可降低單一遭竊分片的價值，但無法阻止每一種網路釣魚攻擊、惡意軟體感染、核准失誤或社交工程嘗試。

串通也是另一項風險。

若足夠數量的授權參與者刻意合作簽署惡意交易，門檻條件可能會被滿足。

因此，治理、監控、職責分離與法律控制仍然重要。

TSS 金鑰生成與金鑰分片

金鑰生成是 TSS 系統最敏感的階段之一。

若先建立完整私鑰再加以分割，建立完整金鑰的裝置或程序就必須受到信任。

分散式金鑰生成可降低這項信任假設，因為每位參與者都會參與建立共同公開金鑰，而無須重建完整私鑰。

設定完成後，每位參與者都會儲存一個金鑰分片。

金鑰分片應加密、安全備份，並由強式驗證保護。

部分系統會將分片儲存於硬體安全模組或安全執行環境中。

其他系統則使用專用行動裝置、雲端控制的簽署服務或混合模型。

適合的儲存設計取決於威脅模型。

對高價值加密貨幣作業而言，金鑰分片儲存應如同關鍵金融基礎設施般接受審查。

不應隨意複製、透過電子郵件傳送、以純文字儲存金鑰分片，或將其置於未受管理的雲端資料夾。

遺失過多分片可能導致資金無法存取。

洩漏過多分片可能使資金面臨風險。

TSS 簽署輪次

許多 TSS 協議要求參與者透過一輪或多輪簽署程序進行通訊。

在這些輪次中，參與者可能交換承諾值、nonce 與簽章分片。

確切流程取決於簽章演算法與協議設計。

FROST 值得注意，因為RFC 9591針對 Schnorr 門檻簽章指定了雙輪簽署協議。

較少輪次可減少網路延遲，並使簽署更適合實際加密貨幣作業。

不過，較少輪次不會消除審慎實作的必要性。

協議仍須驗證參與者、處理無效分片、防止重放問題並管理中止情況。

部分協議具備可識別中止功能，有助於辨識造成簽署失敗的參與者。

這對加密貨幣作業可能很有用，因為簽署失敗可能源於網路錯誤、裝置設定錯誤或惡意參與者。

可靠的 TSS 系統應記錄簽署事件，並讓失敗事件易於調查。

熱錢包與冷錢包的 TSS

TSS 可用於熱錢包與冷錢包設計。

熱錢包連接至線上系統，用於更快速地處理交易。

冷錢包與網路保持較高隔離，用於較強的長期儲存保護。

對熱錢包而言，TSS 可降低單一線上伺服器遭入侵就直接導致資產損失的風險。

對冷錢包而言，TSS 可將核准權限分散於多個離線或半離線環境。

部分加密貨幣作業採用分層錢包架構。

較小餘額可能存放於較快的營運錢包，而較大儲備則受到更嚴格的門檻政策保護。

TSS 可藉由為不同錢包設定不同門檻與簽署者群組來支援此架構。

快速營運錢包可能採用較低門檻並搭配嚴格限額。

儲備錢包可能採用較高門檻並進行更多人工審查。

此設計有助於使密碼學控制措施與業務風險相符。

TSS 與鏈上隱私

在某些區塊鏈環境中，TSS 可提升隱私，因為最終簽章可能不會揭露內部參與者人數。

觀察者可能看到一個簽章與一條公開金鑰驗證路徑。

他們可能不知道該簽章來自一人、三人、五台裝置，或機構核准系統。

這可保護營運細節，避免研究鏈上活動的攻擊者取得資訊。

然而，並非每種情況都能保證隱私。

交易時間、地址重複使用、提領模式、網路中繼資料及公開業務資訊，仍可能揭露有用線索。

TSS 應被視為其中一層隱私保護，而非完整的隱私解決方案。

良好的錢包使用習慣仍然重要。

使用者應避免不必要的地址重複使用、保護中繼資料，並檢視交易可能如何在不同鏈與服務之間被連結。

TSS 與復原規劃

復原規劃至關重要，因為門檻系統可能在遺失過多分片時失效。

2-of-3 設定可承受遺失 1 個分片，但無法承受遺失 2 個。

3-of-5 設定可承受遺失 2 個分片，但無法承受遺失 3 個。

復原計畫應說明誰控制每個分片、如何備份分片、如何替換遺失裝置，以及如何撤銷簽署者存取權。

部分系統支援分片更新，可在不變更公開金鑰的情況下更新分片。

部分系統支援金鑰輪替，可將資產或權限轉移至新的金鑰結構。

裝置退役、員工離職或發生安全事件時，這些功能可能很有用。

復原資料應與日常簽署裝置分開儲存。

同時也應防範竊盜與意外毀損。

對加密貨幣使用者而言，復原不只是 IT 議題。

它是資產保護的直接環節。

使用 TSS 的最佳實務

安全的 TSS 設定應從明確的威脅模型開始。

威脅模型應辨識可能攻擊系統的人、面臨風險的資產，以及可接受的簽署延遲時間。

在可行情況下，參與者應分散於不同裝置、人員、網路或地點。

每個金鑰分片都應透過強式驗證與安全儲存加以保護。

簽署請求應在核准前顯示清楚的交易詳細資訊。

核准畫面應讓使用者能輕鬆驗證目標地址、資產、金額、網路及費用。

系統應盡可能使用經稽核的密碼學函式庫。

除非已接受專家密碼學審查，否則開發者應避免自行設計自訂門檻協議。

NIST 的多方門檻機制首次徵集反映出，公開審查與參考資料對進階門檻密碼學的重要性日益提高。

大型餘額依賴備份與復原程序之前，營運團隊應先測試這些程序。

團隊也應監控簽署活動，並調查異常的核准嘗試。

TSS 何時有用

當單一私鑰會造成過高風險時，TSS 很有用。

它適用於要求多人核准轉帳的加密貨幣金庫。

它適用於需要安全且及時轉移資產的交易作業。

它適用於必須在不同安全角色間分離職責的託管系統。

它適用於希望建立內部核准規則，卻不想在鏈上揭露每位簽署者的組織。

它適用於需要超越單一助記詞的復原選項的錢包。

它也可能適用於需要跨多個環境保護簽章權限的驗證者營運者。

對餘額極小、簡單自我託管已足夠的情況，TSS 的實用性可能較低，因為營運複雜性可能帶來比所降低風險更多的風險。

當使用者無法可靠地管理備份、參與者存取權或核准程序時，TSS 也可能不適合。

決策應比較受保護的價值與所引入的複雜性。

TSS 在加密貨幣中的未來

隨著加密貨幣系統成熟，TSS 正變得更加重要。

越來越多使用者與機構希望採用比單一私鑰更強、又比特定鏈核准指令碼更有彈性的安全模型。

標準化也正在改善。

FROST 以 IETF RFC 的形式發布，為開發者提供了更清楚的 Schnorr 門檻簽章參考點。

NIST 持續進行門檻密碼學工作，也顯示各界對多方機制公開評估的興趣日益增加。

未來發展可能包括更完善且經稽核的函式庫、更多錢包整合、更強大的復原工具、改良的簽署政策，以及適用於後量子簽章機制的門檻設計。

後量子門檻簽章仍是持續發展的領域，不應被視為可直接替換現有錢包系統的簡單方案。

目前而言，TSS 最適合透過經驗證的密碼學設計、審慎的軟體工程及強大的營運控制來實作。

FAQ

TSS 在加密貨幣中代表什麼？

TSS 代表 Threshold Signature Scheme，是一種讓多位金鑰分片持有者共同建立一個有效加密貨幣交易簽章的方法，且沒有任何單一持有者控制完整私鑰。

TSS 與 MPC 相同嗎？

TSS 是經常採用 MPC 技術的特定簽章應用情境，而 MPC 是多方安全計算的較廣泛領域。

TSS 比單一私鑰安全嗎？

TSS 可能比單一私鑰更安全，因為它不會將完整金鑰置於單一位置，且需要達到門檻數量的分片才能簽署。

單一 TSS 金鑰分片能簽署交易嗎？

不能。除非門檻設定為 1，否則單一金鑰分片無法單獨簽署；而設定為 1 會移除 TSS 的主要安全優勢。

TSS 會在鏈上顯示多個簽章嗎？

通常不會。TSS 會產生一個最終簽章，因此區塊鏈可能不會顯示完整的內部簽署群組。

什麼是 3-of-5 TSS 錢包？

3-of-5 TSS 錢包有 5 位金鑰分片持有者，且需要任意 3 位有效參與者合作才能建立簽章。

TSS 能防止所有加密貨幣竊盜嗎？

不能。TSS 可降低私鑰風險，但無法防止每一種網路釣魚攻擊、惡意軟體入侵、內部人員串通或錯誤核准。

金鑰分片遺失時會發生什麼事？

若遺失過多金鑰分片，以致無法再達到門檻，錢包可能無法簽署交易。

TSS 適用於所有區塊鏈嗎？

TSS 相容性取決於區塊鏈或加密貨幣系統採用的簽章演算法與錢包實作。

為什麼 FROST 對 TSS 很重要？

FROST 很重要，因為它是標準化的 Schnorr 門檻簽署協議，只需兩輪簽署即可產生簽章。

結論

門檻簽章機制是一種強大的加密貨幣安全方法，透過多個金鑰分片分散簽章權限，而非依賴單一完整私鑰。

透過要求達到定義的參與者門檻，TSS 可降低單點故障、改善核准控制、支援復原規劃，並保護高價值加密貨幣作業。

TSS 特別適用於需要兼顧安全與實用交易簽署的錢包、金庫、託管系統、交易作業及驗證者基礎設施。

其主要優勢在於一般簽署期間，完整私鑰不需要儲存或重建於單一位置。

其主要挑戰是複雜性，因為安全的 TSS 需要強大的實作、可靠的參與者、受保護的金鑰分片、明確政策及經測試的復原程序。

對加密貨幣使用者而言，TSS 應被理解為一種安全架構，而不只是錢包功能。

設計良好時，它可使私鑰入侵困難得多，並讓交易核准更受控。

設計不佳時，它可能因存取控制薄弱、備份不良、簽署者不可用或軟體缺陷而產生新風險。

最佳的 TSS 系統會結合健全的密碼學與審慎的營運安全。

隨著 FROST 等標準及公開門檻密碼學研究持續成熟，TSS 很可能持續作為更安全加密資產管理的重要基礎元件。